三层交换机如何配置为网关 在一个网络中,根网桥和网关最
  

sailyang 4069

{{ttag.title}}
三层交换机如何配置为网关
在一个网络中,根网桥和网关最好放置于汇聚层设备上,且两种角色最好在一处;因为两种角色都算一个广播域的中心点;
三层交换机如何配置为网关:
路由器+交换机功能的集合,标准的三层交换机不支持nat功能,nat由核心层来完成;三层交换机集合了两种设备的功能后,将出现新的功能,该功能最适合汇聚流量;
【1】管理vlan 默认vlan1 为管理vlan和native vlan;
二层交换机作为接入层,处于不同的地址位置,为了便于管理,建议可远程登录配置;但正常的二层设备不能配置IP地址,故二层交换机上默认存在一个SVI-交换虚拟接口该接口可以配置ip地址,出厂就存在MAC地址–该MAC还用于STP的选举;
又因为交换机上存在vlan技术,该SVI接口处于哪个vlan,该vlan就被称为管理vlan;
Switch(config)#interface vlan 1
Switch(config-if)#ip address 192.168.1.1 255.255.255.0
Switch(config-if)#no shutdown
将SVI接口转移到其他的vlan中
Switch(config)#interface vlan 2
Switch(config-if)#ip address 192.168.2.1 255.255.255.0
Switch(config-if)#no shutdown
注:二层交换机仅存在一个SVI口,故在开启新的SVI接口时,原来的SVI口自动被关闭;
所希望其他网段的设备可以访问该SVI接口,那么交换机上需要定义本广播域的网关地址
Switch(config)#ip default-gateway 192.168.2.254
SVI接口双up的条件:
1、该交换机存在该vlan
2、该交换机连接该vlan的用户,或者存在活动trunk干道;
【2】如何让3层交换机成为网关设备
1、物理接口
默认3层交换机工作在二层,所有接口为二层接口属于vlan1;可以将2层接口转换为3层接口
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#no switchport 转换为3层接口
Switch(config-if)#ip address 192.168.1.1 255.255.255.0
Switch(config)#ip routing 开启IPV4的路由功能,正常路由器默认开启
2、3层交换机可以使用SVI接口来作为网关接口;3层交换机存在多个svi,多个mac地址;
【3】以太网通道
将多个(2-8,2-16)接口,逻辑的整合为一个接口,来转发流量,增加带宽;
Switch(config)#interface range gigabitEthernet 0/1 -2
Switch(config-if-range)#channel-group 1 mode ?
Active Enable LACP unconditionally 主动(LACP)
Auto Enable PAgP only if a PAgP device is detected 被动(PAGP)
Desirable Enable PAgP unconditionally 主动 (PAGP)
On Enable Etherchannel only 手工
passive Enable LACP only if a LACP device is detected 被动 (LACP)
LACP–公有的自动建立channel(仅支持全双工接口) PAGP-cisco私有的
规则:被动与被动不能形成,被动与手工也不能形成;Channel建立后,生成逻辑接口;
Switch(config)#interface port-channel 1 对逻辑接口进行管理
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode trunk
配置指南:
1、所有端口必须支持etherchannel技术;同时注意必须连接相同设备(同一设备,同本地类型相同)
2、这些物理接口必须具有相同的速率和双工模式;LACP必须为全双工
3、通道内不得使用span,若为3层通道,ip地址必须配置到逻辑接口上
4、三层通道内所有的物理接口必须为3层接口,然后在channel口上配置ip地址
5、若二层通道,这些物理接口应该属于同一VLAN或者均为trunk干道,且封装的类型一致,VLAN的允许列表必须一致
6、通道的属性改变将同步到物理接口,反之也可;若物理没有全部down,通信依然正常 同时配置所有物理接口,或直接配置channel口,均可修改接口的属性;
三层channel:
在没有三层channel时,三层链路依然可以使用负载均衡来进行通信;建立3层通道后,可以节省IP地址网段,建立路由条目的编辑;—核心层
sw1(config)#interface range gigabitEthernet 0/1 -2
sw1(config-if-range)#no switchport
sw1(config-if-range)#channel-group 1 mode on
sw1(config)#interface port-channel 1 在通道接口上配置ip地址
sw1(config-if)#ip address 192.168.1.1 255.255.255.0
注:二层通道基于负载分担转发流量,三层通道基于负载均衡转发流量
负载均衡-访问同一目标时,将流量按包为单位分割后,延多条路径同时传输;
负载分担-访问不同目标时基于不同链路,或者不同源在访问目标时基于不同链路;
基于不同源为默认规则;
sw1(config)#port-channel load-balance ?
dst-ip Dst IP Addr
dst-mac Dst Mac Addr
src-dst-ip Src XOR Dst IP Addr
src-dst-mac Src XOR Dst Mac Addr
src-ip Src IP Addr
src-mac Src Mac Addr 默认
【4】
1、span —便于抓包的技术
在一台交换机上将F0/1口映射到F0/2口; —在F0/2口开启抓包工具即可
源端口 目标端口
CORE(config)#monitor session 1 source interface fastEthernet 0/1
CORE(config)#monitor session 1 destination interface fastEthernet 0/2
在同一台交换机的同一个会话号内定义源、目端口
2、Rspan
在同一个交换网络内进行抓包
条件:同一交换网络、存在trunk干道、所有交换机创建一个rspan专用vlan
Sw1(config)#monitor session 1 source interface fastEthernet 0/1
Sw1(config)#monitor session 1 destination remote vlan 113
Sw1(config)#vlan 113
Sw1(config-vlan)#remote-span
Sw2(config)#vlan 113
Sw2(config-vlan)#remote-span
Sw3(config)#vlan 113
Sw3(config-vlan)#remote-span
Sw3(config)#monitor session 1 source remote vlan 113
Sw3(config)#monitor session 1 destination interface fastEthernet 0/1
【5】防止MAC地址攻击
简单的端口安全–绑定mac,限制mac地址数量
Switch(config)#interface f0/1
Switch(config-if)#switchport mode access 必须先定义为接入接口
Switch(config-if)#switchport port-security 必须先开启端口安全服务
Switch(config-if)#switchport port-security mac-address ? 设置MAC地址的获取
H.H.H 48 bit mac address 手写
sticky Configure dynamic secure addresses as sticky 粘连
注:此时最大地址数量为1,处理方案为逻辑关闭;
逻辑关闭的接口必须,先关闭再开启
Switch(config-if)#switchport port-security maximum ? 修改绑定的MAC地址数量
<1-132> Maximum addresses
Switch(config-if)#switchport port-security violation ? 修改违约的处理方案
protect Security violation protect mode 保护
Restrict Security violation restrict mode 限制
Shutdown Security violation shutdown mode 关闭
保护:接口出现非法MAC时,仅丢弃流量不关闭接口,合法mac流量可以通过;限制:处理同保护基本一致;区别在于,非法mac出现后,会向网络中的SNMP服务器发送警告信息;
关闭:逻辑关闭–默认的机制
【6】NTP—网络时间协议
r1#show clock
*11:46:11.423 UTC Sun Dec 23 2018
r1#clock set 12:00:00 1 aug 2017 修改时钟
r1(config)#ntp master 本地成为ntp服务器
r2(config)#ntp server 12.1.1.1 与12.1.1.1同步
【7】基于时间的ACL
r1(config)#time-range openlab 创建openlab列表
r1(config-time-range)#absolute start 12:00 1 aug 2018 end 12:00 1 aug 2020
定义整个列表的工作总时间
r1(config-time-range)#periodic daily 9:30 to 12:00
r1(config-time-range)#periodic daily 13:30 to 16:00
r1(config)#ip access-list extended openlab
r1(config-ext-nacl)#permit ip host 172.16.10.253 any
r1(config-ext-nacl)#permit ip host 172.16.20.253 any
r1(config-ext-nacl)#deny ip 172.16.20.0 0.0.0.255 any time-range openlab
r1(config-ext-nacl)#deny ip 172.16.10.0 0.0.0.255 any time-range openlab
r1(config-ext-nacl)#permit ip any any
【8】CDP–cisco设备发现协议(私有协议)

CORE#show cdp neighbors 可以查看到本地所有接口连接的设备型号及接口默认开启,但很危险
CORE#show cdp neighbors detail 查看详细信息
CDP存在敏感信息—VTP 域名 管理vlan地址 native编号
建议所有的接入层连接用户的接口关闭CDP
CORE(config)#no cdp run 全局关闭
CORE(config)#interface f0/1
CORE(config-if)#no cdp enable 关闭单个接口
【9】网关冗余
1、最原始的网关冗余
PC的操作系统在win95系列以下,没有配置网关地址时,若需要PC访问非本地直连网段的目标ip,那么将对该IP地址进行ARP请求,默认路由器存在代理ARP机制,将返回MAC地址(选择最新记录);之后即可访问目标
当默认选择的网关设备上行链路故障后,ICMP重定向会保证PC寻找到最佳路径的网关设备,来实现网关冗余;若下行链路故障,或者网关设备瘫痪,那么将等待2h,PC的ARP表刷新后重新ARP请求;
若操作系统版本高与95,可以将网关地址配置为直接广播地址,来实现以上规则;—直接广播地址–该网段的ip,主机位全1;
2、HSRP --热备份网关–cisco私有
HSRP(Cisco私有):热备份冗余协议
特点:切换速度快;可以使网关的IP和MAC地址不用变化;网关的切换对主机是透明的;可以实施上行链路追踪
在两台路由器或三层交换机上虚拟一个网关ip地址,再虚拟一个网关MAC地址
虚拟网关IP地址由管理员定义(在该网段内不得和主机ip冲突),MAC地址自动生成
路由器间的hello time 3s;hold time 10s 组播地址:224.0.0.2 TTL=1
MAC地址—0000.0c(cisco专用)07.ac(HSRP专用)01(组号)
Forwarding 路由器 standby路由器
优先级高 默认100
真实物理接口ip地址最大
r3(config)#interface fastEthernet 0/0
r3(config-if)#standby 1 ip 134.1.1.254 邻居间组号和地址必须相同,地址为虚拟网关地址
r3(config-if)#standby 1 priority ? 修改优先级,默认100
<0-255> Priority value
注:抢占默认关闭,利用修改优先级来定义网关位置不可控,需要开启抢占
r3(config)#interface fastEthernet 0/0
r3(config-if)#standby 1 preempt 开启抢占
在网关冗余技术中,ICMP重定向是失效的;故当上行链路DOWN时,网关将不会切换;可以定义上行链路追踪-----该配置必须在抢占开启的情况下生效,且两台设备间的优先级差值小于下调值; 若本地存在多条上行或下行链路,建议上行链路追踪配置时的下调值之和大于优先级差值----所有上行链路全down时,才让备份设备抢占;下行链路大部分down时,可以让备份设备抢占;
r3(config)#interface fastEthernet 0/0
r3(config-if)#standby 1 track serial 1/0
当被追踪的接口down时,本地优先级自动默认下调10(减10)
r3(config-if)#standby 1 track serial 1/0 ? 可修改下降值
<1-255> Decrement value

总结:1、抢占被关闭 2、仅支持两台设备 3、Cisco私有 4、较慢
VRRP:虚拟路由冗余协议–公有协议,原理同HSRP一致
区别:1、多台设备 2、仅master发送hello 3、可以使用物理接口的ip地址来为网关地址 4、抢占默认开启 5、hold time 3s
VRRP在一个组内可以存在多台3层设备,存在一个master和多个backup
正常产生一个虚拟IP(可以为真实接口ip)和一个虚拟MAC
默认每1s来检测一次master是否活动 224.0.0.18 TTL=1 hold time 3s
选举规则:先优先级,默认100,大优;再接口ip地址大优;
r1(config)#interface fastEthernet 0/0
r1(config-if)#vrrp 1 ip 134.1.1.254
r1(config-if)#vrrp 1 priority 110
r3#show vrrp brief
Interface Grp Pri Time Own Pre State Master addr Group addr
Fa0/0 1 100 3609 Y Backup 134.1.1.1 134.1.1.254
注:若使用某个接口的真实ip地址作为虚拟网关ip地址,那么依然使用虚拟的MAC地址;且当真实IP地址所在接口未down之前,其他设备不能作为master,否则将可能出现错误的ARP应答,导致选路不佳;故该地址所在的接口优先级为255;
在设置了上行链路追踪的环境下,不建议使用真实的ip地址来作为网关地址;因为可能上行链路故障后,被对端抢占主状态,导致PC对网关地址进行ARP时,收到两个应答,最终选路不佳;
上行链路追踪:1、先定义追踪列表2、再在协议中调用
core(config)#track 1 interface fa0/1 line-protocol
定义追踪表1,追踪接口为F0/1
r1(config)#interface fastEthernet 0/0
r1(config-if)#vrrp 1 track 1 decrement 156
组号 表号 下调的优先级
GLBP:网关负载均衡协议
注:该协议在应用时,考虑到生成树在3层架构中的存在,需要相应的改变拓扑结构;
AVG:优先级最大,再ip地址最大;响应所有对网关地址ARP请求后,根据网关设备的数量(最大4个)回应不同MAC给PC;同时将这些MAC分配给对应的AVF
3s hello 224.0.0.102 UDP 3222端口
AVF:根据AVG分配的MAC地址来转发流量
AVG抢占关闭
AVF抢占开启
r1(config)#interface fastEthernet 0/0
r1(config-if)#glbp 1 ip 134.1.1.254
r1(config-if)#glbp 1 priority ? 修改优先级
<1-255> Priority value
上行链路追踪:
1)先定义追踪列表
2)再在协议中调用
core(config)#track 1 interface fa0/0 line-protocol
定义追踪表1,追踪接口为F0/0
r1(config)#interface fastEthernet 0/0
r1(config-if)#glbp 1 weighting track 1 decrement 10
组号 表号 下调的优先级

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

发表新帖
热门标签
全部标签>
西北区每日一问
每日一问
技术盲盒
技术笔记
干货满满
GIF动图学习
产品连连看
通用技术
标准化排查
SDP百科
自助服务平台操作指引
技术咨询
技术圆桌
功能体验
社区新周刊
信服课堂视频
新版本体验
2023技术争霸赛专题
秒懂零信任
畅聊IT
在线直播
技术晨报
升级&主动服务
安装部署配置
sangfor周刊
VPN 对接
专家问答
高手请过招
答题自测
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高频问题集锦

本版版主

461
247
13

发帖

粉丝

关注

本版达人

feeling

本周分享达人

新手29676...

本周提问达人